Indyjska firma technologii zdrowotnej Ultrahuman poinformowała o nieautoryzowanym dostępie do wybranych danych wellness użytkowników. Sprawa miała swój początek 27 marca i — według komunikatu spółki — była wynikiem wykorzystania poświadczeń skradzionych z laptopa pracownika zainfekowanego malwarem. Incydent dotyczył systemu wykorzystywanego wewnętrznie do analiz.
Jak doszło do naruszenia i pierwsze działania firmy
Ultrahuman stwierdził, że jego systemy wykryły incydent w ciągu kilku godzin od włamania. Firma natychmiast odłączyła zaatakowany system i cofnęła dostęp. W rozmowie z TechCrunch spółka potwierdziła, że napastnicy uzyskali dostęp, korzystając z poświadczeń pobranych z malware’em zainfekowanego laptopa pracownika. CEO firmy wskazał też na szybkie wykrycie i zamknięcie luki: "Our security alerting systems detected the incident within hours, and we closed the vulnerability swiftly."
Zakres danych i kogo dotyczy
Według Ultrahuman atak dotyczył danych wellness przechowywanych w systemie analitycznym i obejmował około 0,1% użytkowników. Biorąc pod uwagę wcześniej podawaną przez firmę liczbę około 700 000 miesięcznie aktywnych użytkowników, przekłada się to na przybliżony rząd wielkości około 700 kont, choć spółka nie ujawniła dokładnej liczby osób dotkniętych incydentem. W opublikowanym FAQ Ultrahuman podał, że napastnik uzyskał dostęp w trybie "read-only", ale firma nie potwierdziła, czy doszło do wyprowadzenia danych.
- Data incydentu: 27 marca.
- Wejście poprzez poświadczenia ze zainfekowanego laptopa pracownika.
- System zaatakowany: narzędzie wykorzystywane wewnętrznie do analityki.
- Zakres: około 0,1% użytkowników (firma nie podała dokładnej liczby).
- Firma twierdzi, że nie skompromitowano haseł, informacji płatniczych, systemów produkcyjnych ani samych urządzeń.
Ultrahuman produkuje m.in. pierścień Ring Air oraz nowszy Ring Pro i jest jednym z graczy na rynku urządzeń do monitorowania metabolizmu i snu, konkurując m.in. z produktem Oura Ring. Firma została założona w 2019 roku i — według dostępnych informacji — zebrała do tej pory około 103 milionów dolarów od inwestorów takich jak Nexus Venture Partners, Steadview Capital i Blume Ventures.
Dlaczego to ważne dla użytkowników urządzeń noszonych
Naruszenie u Ultrahuman uwypukla istotny problem branży: dane dotyczące zdrowia i aktywności zbierane przez urządzenia noszone są zwykle przechowywane na serwerach producentów, co stwarza ryzyko ich nieautoryzowanego udostępnienia. W zależności od uprawnień i konfiguracji takie zasoby mogą być dostępne dla pracowników firmy, organów państwowych lub w przypadku ataku — dla osób trzecich. Nawet gdy dostęp ma charakter "tylko do odczytu", konsekwencje dla prywatności użytkowników mogą być istotne.
W odpowiedzi na incydent Ultrahuman poinformował, że powiadomił odpowiednie organy regulacyjne i opóźnił bezpośrednie informowanie użytkowników do czasu przeprowadzenia pełnego audytu zakresu zdarzenia. Firma nie ujawniła, czy otrzymała jakiekolwiek żądania lub komunikację od sprawców ani jakie dokładnie elementy danych objęte były "wellness data".
Dla użytkowników usług i urządzeń monitorujących zdrowie ważne są podstawowe środki ostrożności: włączenie uwierzytelniania dwuskładnikowego, monitorowanie konta pod kątem nietypowej aktywności, regularne aktualizacje oprogramowania urządzeń i zachowanie higieny bezpieczeństwa na urządzeniach służbowych i prywatnych. Z punktu widzenia firm kluczowe są mechanizmy ograniczania uprawnień, ochrona stacji roboczych pracowników przed malware oraz szybkie procedury reagowania i transparentne raportowanie incydentów.
Sprawa Ultrahuman jest na bieżąco obserwowana przez branżę, ponieważ dotyczy wrażliwych danych zdrowotnych i pokazuje, że nawet krótki dostęp do systemów analitycznych może mieć konsekwencje prywatności. Firma podjęła działania naprawcze, ale kilka pytań pozostaje otwartych — przede wszystkim dotyczących pełnego zakresu danych, ewentualnego wyprowadzenia informacji oraz sposobu, w jaki firma usprawni zabezpieczenia, by zapobiegać podobnym incydentom w przyszłości.
